オープンソース検出器
オープンソース検出器とは、コードベース、アプリケーション、またはデジタルアセットをスキャンして、オープンソースプロジェクトに由来するコンポーネントを特定するように設計されたソフトウェアツールまたは自動化システムです。これらのツールは、バイナリ、ソースコード、および依存関係マニフェストを分析し、特定のソフトウェア製品の完全な部品表(BOM)をマッピングします。
今日のソフトウェア環境では、ほぼすべての商用アプリケーションがサードパーティのオープンソースライブラリを組み込んでいます。この依存関係は、重大な法的、セキュリティ、および運用上のリスクをもたらします。オープンソース検出器は、さまざまなオープンソースライセンス(GPL、MIT、Apacheなど)への法的コンプライアンスを維持し、古い依存関係によって導入されるセキュリティ脆弱性を軽減し、ソフトウェアサプライチェーンの透明性を確保するために不可欠です。
これらの検出器は通常、いくつかの技術を使用して動作します。既知のオープンソースパッケージリポジトリに対するシグネチャマッチングを採用したり、プロジェクト設定ファイル(例:package.json、pom.xml)内の依存関係グラフを分析したり、時にはコンパイルされたコードのフィンガープリント化のためにバイナリ解析などの高度な技術を使用したりします。出力は通常、すべてのコンポーネント、そのバージョン、および関連ライセンスを記載した詳細なソフトウェア部品表(SBOM)です。
ソフトウェア部品表 (SBOM)、ソフトウェア構成分析 (SCA)、依存関係スキャン、ライセンスコンプライアンス管理。